Gitea 28.2.0: исправления входа, утечек метаданных и Actions

Одна из исправленных проблем — CVE-2026-109553 с оценкой High, CVSS 7,5. Проверка SSH-сертификата могла сопоставить principal не только с разрешёнными principal-ключами, но и с чужим обычным публичным ключом, а запрос — выполнить с правами его владельца. Advisory указывает версии до 28.1.0 включительно; исправление вошло в 28.2.0. Риск относится к установкам с доверенным SSH user CA: дополнительно требуется разрешение произвольных principals либо возможность получить соответствующий сертификат от этого CA. Это не проблема всех установок с обычными SSH-ключами.

Вторая уязвимость, CVE-2026-104627, получила High и CVSS 8,1; затронуты версии до 28.1.0 включительно, исправлена 28.2.0. При включённом входе через OpenID 2.0 авторизованному пользователю можно было навязать привязку чужой OpenID-идентичности, если он переходил по подготовленной ссылке от контролируемого атакующим провайдера. Затем эта идентичность позволяла войти в его учётную запись. Исправление проверяет короткоживущий state, связанный с пользователем. OpenID 2.0 здесь не следует путать с OpenID Connect (OIDC).

Для API закрыты два отдельных сценария. CVE-2026-110311 — раскрытие метаданных вложений из чужих, в том числе приватных, репозиториев при создании чернового релиза; содержимое файлов этот сценарий не раскрывал. Уровень Moderate, CVSS 4,3. CVE-2026-105964 — исчерпание памяти через слишком большое тело запроса к Actions Artifact V4 API при наличии runner-токена; уровень Moderate, CVSS 6,5. Для обеих advisory указан диапазон от 1.22.0 до 28.1.0 включительно и исправленная версия 28.2.0. Вторая проблема требует возможности запустить workflow и получить его токен, а не одного анонимного запроса к сайту. По объявлению проекта, тело запроса в исправленных обработчиках ограничено 1 МиБ.

В повседневной работе исправлены отменённые повторно используемые workflows, которые оставались в состоянии cancelling, обработка расписаний после смены основной ветки и ошибочное распознавание пустых pull requests как слитых вручную. Также восстановлены прежние URL архивов npm-пакетов. Эти изменения затрагивают конкретные сценарии CI, проверки кода и установки пакетов, а не добавляют новую систему сборок.

Для расширения Gitea в VS Code предварительно регистрируется отдельное OAuth2-приложение gitea-vscode. Как поясняет PR #39801, прежде расширение использовало приложение tea и могло не войти после авторизации tea CLI из-за разных запрошенных прав. Отдельный клиент устраняет этот конфликт. Он включён в набор приложений по умолчанию; для установок с явно переопределённым [oauth2].DEFAULT_APPLICATIONS авторы отдельно оговаривают добавление gitea-vscode в этот список.

Перечисленные уязвимости — не полный список бюллетеней выпуска. В объявление также вошли раскрытия проблем, исправленных ещё в 28.1.0, 28.0.0 и отдельных выпусках 1.27: их нельзя считать новыми исправлениями именно 28.2.0. Разработчики Gitea рекомендуют обновление как можно скорее. Эта новость описывает официальные изменения, без собственного тестирования обновления и без предположения, что каждая уязвимость применима к любой конфигурации.